بدافزار Slopoly تولیدشده توسط AI در حمله‌ی Interlock مشاهده شد

ماجرا چه بود؟

در ۶ مه ۲۰۲۶، تیم تحقیقاتی WeLiveSecurity (ESET) گزارشی منتشر کرد که نشان می‌داد گروه باج‌افزاری Interlock از یک کلاس جدید بدافزار با نام «Slopoly» در زنجیره‌ی attack chain خود استفاده می‌کند. این بدافزار به‌طور قابل‌توجهی توسط مدل‌های زبانی بزرگ (LLM) تولید شده — یک سیگنال جدید در تکامل threat landscape.

«Slopoly» نام را به‌خاطر تشابه با کلمه‌ی «slop» (محتوای بی‌کیفیت AI) و «monopoly» (تسلط بر طیف بزرگی از mutation) گرفته است. مدارک، اشارات به prompt های GPT-style در کامنت‌های کد، الگوهای syntactic معمولی LLM، و خطاهای منطقی نوعی است.

جزئیات فنی

ویژگی‌های Slopoly:

• کیفیت کد متوسط تا پایین: شامل dead code، نام‌گذاری متغیرهای تولیدی AI (مثل secureDataExfiltrator)، و چندین مسیر منطقی غیرضروری.
• mutation سریع: تخمیناً Interlock هر روز ۵۰-۱۰۰ نسخه‌ی جدید با ساختار مشابه ولی hash متفاوت تولید می‌کند.
• عملکرد قابل اطمینان نسبی: علی‌رغم کیفیت پایین، dropper، connector C2، و loader عمل می‌کنند.

استراتژی Interlock: signature-based AV ها را با حجم تنوع شکست دادن. حتی اگر ۸۰٪ نمونه‌ها سریع detect شوند، باقی ۲۰٪ به موفقیت می‌رسند.

تأثیر و واکنش

ESET پیش‌بینی کرده که این روش — تولید malware با AI به‌جای نوشتن دستی — در سال آینده به یک trend غالب تبدیل می‌شود. این موضوع چالش‌های جدیدی برای صنعت AV ایجاد می‌کند که سال‌ها بر signature های دستی متکی بوده.

توصیه‌های امنیتی

• behavioral EDR به‌جای signature-based AV — رفتار encryption گسترده فایل‌ها هنوز detectable است.
• AI/ML detection در gateway ها — paradoxically، malware تولیدشده با AI الگوهای آماری خاصی دارد که قابل تشخیص است.
• application allowlisting در محیط‌های critical — اگر مثلاً MS Office نباید فایل اجرایی dropping کند، تمام نمونه‌ها مسدود می‌شوند.
• network segmentation: حتی موفقیت Slopoly در یک endpoint نباید به دسترسی domain منجر شود.
• backup با versioning عمیق — برای recovery پس از encryption.

منابع

• WeLiveSecurity (ESET)